Der Oktober hat das diesjährige Motto des „Cybersecurity Awareness Month “ (wird in einem neuen Tab geöffnet) – „Securing the Next 250“, das zu Ehren des 250. Jahrestags der USA gewählt wurde – eindrucksvoll untermauert. Die von der Cybersecurity and Infrastructure Security Agency (CISA) und der National Cybersecurity Alliance (NCA) ins Leben gerufene Initiative findet jährlich im Oktober statt, um das Bewusstsein für Online-Sicherheit zu schärfen und Privatpersonen sowie Unternehmen in die Lage zu versetzen, sich vor Cyberkriminalität zu schützen.
Während das Land in die nächsten 250 Jahre startet, müssen sich die Sicherheitsteams auf ein sich rasch wandelndes Umfeld von Cyberbedrohungen vorbereiten. Angreifer werden immer schneller und agieren immer unauffälliger. Durch den Einsatz künstlicher Intelligenz verkürzt sich der Zeitraum zwischen der Offenlegung einer Sicherheitslücke und deren Ausnutzung, während Angreifer sich zunehmend unauffällig in das System einfügen und sich durch die Nutzung legitimer Tools, gültiger Zugangsdaten und normalen Nutzerverhaltens immer heimlicher bewegen.
Was heute als „Schwarzer Oktober“ bezeichnet wird, lieferte uns einige konkrete Beispiele dafür. Innerhalb weniger Tage kam es zu einer ganzen Reihe von Bekanntgaben, darunter die kritischen PHP2Shell Sicherheitslücken (wird in einem neuen Tab geöffnet) , die es einem nicht authentifizierten Angreifer ermöglichten, mithilfe einer manipulierten Webanfrage Code auszuführen und damit fast 70 % aller Websites einem Risiko auszusetzen. Neben der Sicherheitslücke bei eMudhra CA (wird in einem neuen Tab geöffnet) und der als „HTTP2Shell“ (wird in einem neuen Tab geöffnet) bezeichneten kritischen Brotli-Sicherheitslücke veranlassten diese Vorfälle die Teams dazu, eilig nach ihren eigenen Schwachstellen zu suchen und diese zu beheben.
Die meisten Sicherheitsteams sind nicht so aufgestellt, dass sie dieser Art von Bedrohungen schnell genug begegnen können, oder sie verfügen nicht über die erforderlichen Mittel, um ihnen zuvorzukommen. Es ist an der Zeit, dies zu ändern.
Der Fluch moderner Cyberbedrohungen
Früher war das Ausmaß der Bedrohungen das größte Problem, mit dem Sicherheitsteams konfrontiert waren. Nun haben wir dem noch Geschwindigkeit hinzugefügt. Das Zeitfenster zwischen der Bekanntgabe einer Sicherheitslücke und deren Ausnutzung hat sich erheblich verkürzt, und 30-Tage-Patch-Zyklen gelten mittlerweile als Relikt aus der Zeit vor der KI.
KI-Systeme sind in der Lage, funktionierende Exploits für die überwiegende Mehrheit der von ihnen entdeckten Sicherheitslücken in einem Bruchteil der Zeit zu generieren, die ein menschlicher Forscher dafür benötigen würde. Darüber hinaus stützen sie sich mithilfe von KI auf konkrete Werkzeuge und orientieren sich am normalen Nutzerverhalten, um zu vermeiden, dass herkömmliche Warnmeldungen ausgelöst werden. Sie fallen nicht auf, da sie für unsere Sicherheitssysteme und -teams genau wie wir aussehen.
Sie missbrauchen Cloud-Konten und „Living-off-the-Land“-Binärdateien – Dinge, die nicht wie ein Angriff aussehen, da es sich um dieselben Zugriffsrechte und Tools handelt, die Ihre eigenen Administratoren und normalen Benutzer täglich nutzen. Angreifer benötigen keine Malware mehr, denn solange sie über einen gültigen Zugangsnachweis verfügen und die Geduld aufbringen, sich wie ein normaler Nutzer zu verhalten, bleiben sie mit größerer Wahrscheinlichkeit unbemerkt.
In Fällen wie dem von „Black October“ verschaffen sich Angreifer den Zugriff auch über andere, vermeintlich sichere Stellen, wie beispielsweise die HTTP2Shell in der Brotli-Bibliothek von Google. Bedenken hinsichtlich potenzieller Bedrohungen können auch dann auftreten, wenn Unternehmen nicht über eine einheitliche Bestandsaufnahme aller ihrer Infrastrukturgeräte verfügen. So hatten beispielsweise angesichts der jüngsten PHP-Sicherheitslücke viele Unternehmen alle Hände voll zu tun, herauszufinden, an welchen Stellen PHP in ihren Systemen ausgeführt wurde , bevor sie überhaupt über eine Behebung nachdenken konnten. Darüber hinaus kann es, wenn Unternehmen auf Patches von Anbietern warten müssen, um aktive Bedrohungen abzuwehren – wie beispielsweise bei PHP –, zu längeren und schwerwiegenderen Sicherheitslücken für die Unternehmen und ihre Kunden kommen.
Erschwerend kommt hinzu, dass die meisten Sicherheitsteams darauf ausgelegt sind, zu reagieren – zunächst auf einen Alarm zu warten und dann Nachforschungen anzustellen. Um diesen sich ständig weiterentwickelnden Cyberbedrohungen entschlossen entgegenzutreten, ist ein proaktiverer Ansatz erforderlich.
Wie Sicherheitsteams zur Bekämpfung moderner Bedrohungen aufgebaut werden sollten
Reaktive Modelle versagen in dem Moment, in dem Angreifer aufhören, jene Art von Aktivitäten zu erzeugen, auf deren Erkennung die Warnmeldungen ausgelegt sind. Mit einer proaktiven Herangehensweise kann Ihr Unternehmen diesen Bedrohungen immer einen Schritt voraus sein.
Um dieses Ziel zu erreichen, benötigen Unternehmen drei Dinge. Erstens: Echtzeit-Transparenz über Ihre Systeme und einen Überblick über Ihren Lagerbestand. Zweitens benötigen Sie eine klare Referenzbasis dafür, was für Sie als normal gilt, damit Ausreißer tatsächlich auffallen. Und drittens: Damit die Suche nach Cyberbedrohungen als eigenständige Disziplin behandelt wird und nicht als etwas, das das SOC in seiner Freizeit nebenbei erledigt. Es bedarf eines Teams, dessen eigentliche Aufgabe darin besteht, hypothesenbasiert nach Hinweisen zu suchen, und nicht nur darin, Warnmeldungen zu sichten.
Die Teams müssen davon ausgehen, dass sich die Gegner bereits im Gebäude befinden, und ihnen keine Zeit zum Aufhalten lassen. Warten Sie nicht darauf, dass sie sich zu Wort melden, denn in vielen Fällen werden sie dies erst tun, wenn es bereits zu spät ist. KI mag zwar dazu beitragen, dass Angreifer Schwachstellen schneller aufspüren und ausnutzen, doch sie kann auch die Verteidiger schneller machen, sofern die Erkenntnisse dank Echtzeit-Transparenz als zuverlässig gelten. Finden Sie heraus, wie Sie KI für sich nutzen können.
Bei Tanium haben wir gemeinsam mit unseren Kunden zahlreiche Cyber-Threat-Hunts durchgeführt. Häufig lassen sich die Störungen auf interne Bereitstellungstools oder einen Konflikt zwischen Sicherheitstools zurückführen, der niemandem aufgefallen ist. Ich habe erlebt, wie Unternehmen die Zahl ihrer ungelösten Warnmeldungen von über 700 000 auf weniger als 100 pro Tag senken konnten, da sie durch ein geregeltes „Hunting“-Projekt nicht mehr nur Warnmeldungen nachjagen mussten, sondern nun einen kontinuierlich überwachten Überblick über ihre Umgebung erhielten. Black October gave us even more experience. Während sich Unternehmen noch fragten, wo PHP zum Einsatz kam, bot Tanium HuntIQ seinen Kunden eine flottenweite Bestandsaufnahme, sortiert nach anfälligen Versionen, sowie eine Verhaltensanalyse, um zu ermitteln, wie ein Angreifer als Nächstes vorgehen würde.
Die Verantwortlichen für die Sicherheit befinden sich schon so lange in der Defensive, doch angesichts der zunehmenden Cyberbedrohungen ist es an der Zeit, in die Offensive zu gehen. Bilden Sie ein „Hunting-Team“ für Ihre Organisation und überlassen Sie ihm dann die weitere Arbeit. Ich glaube, Sie werden erstaunt sein, was sie dabei entdecken werden.
Es ist eine Welt, in der man entweder jagt oder gejagt wird
In der Welt der Cybersicherheit läuft es letztlich darauf hinaus, ob man jagt oder gejagt wird. Mit einem engagierten Team und einem klaren Verständnis der Ausgangslage Ihres Unternehmens sind Sie besser darauf vorbereitet, die Bedrohungen, denen Ihr Unternehmen ausgesetzt ist, aufzuspüren. Der Monat der Cybersicherheitsaufklärung endet diese Woche, doch die Bedrohungen bleiben bestehen. Wenn die nächste neue Bedrohung auftaucht, sollten Sie bereits auf der Jagd sein.
Verfolgen Sie unsere Blogreihe „Hunt or Be Hunted“, um mehr darüber zu erfahren, wie die Bedrohungssuche Ihrem Unternehmen helfen kann, oder sprechen Sie mit einem unserer Experten, um konkretere Empfehlungen zu erhalten.
